Roel Verdult, de Nijmeegse onderzoeker die twee jaar geleden het lek in de OV-chipkaart aantoonde, reageert op de nieuwe commotie na de recente chipkraak van een journalist. ‘Het kraken van de OV-kaart is bijna  net zo gemakkelijk als het downloaden van een MP3-bestandje.’ Roel Verdult is onderzoeker van de afdeling Digital Security van de bètafaculteit, en stond mede aan de wieg van de spectaculaire kraak twee jaar geleden die de kwetsbaarheid van de OV-chipkaart aantoonde. De oorzaak: de in de kaart verwerkte chip deugt niet. Verdult: ‘De chip in de huidige kaart is nog steeds dezelfde. De fabrikant heeft twee jaar geleden al geadviseerd de chip niet meer te gebruiken, maar dat advies hebben ze voor de OV-kaart naast zich neergelegd.’ Eenvoudig te kraken Dinsdag kwam in het nieuws dat een computerjournalist met een eenvoudig softwareprogramma met kaartlezer OV-kaarten kan kraken en het saldo kan opkrikken, op ongeveer dezelfde manier als Verdult en zijn onderzoeksgroep in 2008 al liet zien. ‘Het is bijna even eenvoudig als het downloaden van een MP3-bestandje voor de thuisgebruiker’, zegt Verdult. De onderzoeker is hogelijk verbaasd dat de ‘kaart met kapotte chip’ sinds twee jaar alleen maar verder is uitgerold, en inmiddels ook voor elke student gemeengoed is. Beveiliging De Nijmeegse onderzoeksafdeling Digital Security ontwikkelt samen met het consortium achter de chipkaart (Trans Link Systems) een nieuwe kaart, met een veel betere beveiliging dan de huidige. Maar voordat die kaart helemaal klaar is, zijn we een aantal jaren verder, zegt Verdult. Het wachten is niet op de nieuwe chip (die is er al), maar op de uitrusting van de kaart met hoogst geavanceerde versleutelingstechnieken. ‘Het voordeel is dat de klant straks de best denkbare kaart heeft, in het licht van beveiliging en privacy, het nadeel is dat het nog een paar jaar duurt voor hij klaar is.’ Kwaaie pier Het probleem zit volgens Verdult niet bij Trans Link Systems, die in de media inmiddels als kwaaie pier wordt afgeschilderd. ‘Een ander bedrijf had een betere kaart niet beter of sneller kunnen ontwikkelen.’ Het echte probleem is de politiek die ‘de kaart erdoorheen heeft gedrukt’. Als onderzoeker kan Verdult de vinger niet precies op de zere plek leggen. ‘Daarvoor sta ik te ver af van het beslissingsproces.’ Maar de oplossing weet hij wél: de kapotte kaart moet zo snel mogelijk uit de roulatie. ‘En we moeten geduld hebben en wachten op de nieuwe kaart.’